佐賀県教育情報システムでの情報漏洩問題について(18)
こんばんは。昨日はソースを挙げただけで終わってしまいました。今日は新たなソースが出てきましたので、これについても言及します。
「ビジネス＋IT」というサイトに記事が掲載されています。
以前、無線LANのセキュリティ的問題を指摘された記事を書かれていたのですが、新たに佐賀県教育委員会に電話取材されたそうです。取材内容を基に追加記事を書かれています。ネットワークやディレクトリやファイルへのアクセス権限の設計に問題があること（直接ではありませんが、そういう意味合いになろうかと解釈しました）も指摘されていました。筆者の方も最後に書かれているように、専門家の雇用と、彼らがスキルを如何なく発揮出来るような環境の用意と、上層部の理解が大事であることにも言及されています。
なぜここまで酷いことになったのかということに関しては、組織の体質に集約されそうです。上層部のITに対する無理解や、他自治体に先行して導入することが至上命題になってしまったのだろうと推測されます。導入すること自体が目的化してしまったために本質を見失ってしまったのではないでしょうか。
ログのことが気になっていたのですが…
ここで少し気になったのが、「ログ収集体制の強化」です。記事を読む限りでは「今までは大してログを取ってなかったんじゃないか？」と思えるような書きぶりでした。「証拠保全やフォレンジックに利用する」とありました。では、今までは不正アクセスがあっても、原因がトレース出来ない代物だったということなのか？という疑問が出てきます。
いや、その前にログを安全な場所に保管出来る仕組みは出来ていたんだんろうか？という疑問が頭をもたげてきました。管理用パスワードを生徒から簡単にアクセス出来る場所にほぼ剥き出しで置いてあるような管理状況ですから、まさかのログサーバがインターネットに大して剥き出しで設置だったりしないかと心配になりました。
そして、ネットワーク設計についても…
校内LANから継接ぎ的に拡張してきたのも問題なんだろうと思われます。校内LANのみの頃は単一ポリシーで良かったのでしょう。セキュリティレベルの異なるネットワークごとのポリシーを考慮せず、強引につなぎ合わせてしまったとしたら、問題は起きるべくして起きたんだなと思いました。
そして、もう1つは「学校ネットワークのインターネットからの分離」です。よくありがちな対応だなと思いました。「ネットワーク物理的分割原理主義者」という風に個人的に呼んでいるのですが、とにかくインターネットとLANを物理的に分けてしまえば大丈夫というところで思考停止している方々を見受けます。そういう組織に限って情報漏洩を引き起こしています。問題になるのはUSBメモリなんですが、物理的に分断された2つ以上のネットワーク間でデータのやり取りが発生した場合にUSBメモリが使われることが多いのですが、これがウイルス感染していてえらいことに…という事例は数知れず。
ですので、「分離したから終わり」ではなくて、運用や教育やネットワーク再設計というような話になってくるんだろうと思います。
次のフェーズとしては、佐賀県教育委員会から保護者や生徒や県民に対する説明と、なぜこんなにgdgdな設計・管理・運用になったのかを当時の導入に関わっていた上層部の説明をうかがいたいところです。
（今回は元記事の記述に沿って表現を合わせました。）
…とここまで書いたところで、佐賀新聞に以下の記事があることに気づきました。
このあたりは明日書かせていただきます。<(_ _)>
